HackerOne用戶頭像名稱變化導(dǎo)致的DoS漏洞如何理解

本篇文章給大家分享的是有關(guān)HackerOne用戶頭像名稱變化導(dǎo)致的DoS漏洞如何理解，小編覺得挺實用的，因此分享給大家學(xué)習(xí)，希望大家閱讀完這篇文章后可以有所收獲，話不多說，跟著小編一起來看看吧。

該漏洞原因在于，當(dāng)HackerOne注冊用戶在上傳自己的頭像圖片時，由于在頭像圖片的文件名處（filename:unnamed.jpg）未設(shè)置有恰當(dāng)?shù)淖址L度限制，因此，可以構(gòu)造巨大冗長的文件名（filename:XXXXXXXXXXXXXXXXXXXXXXX....jpg）上傳，之后可導(dǎo)致HackerOne網(wǎng)站的某些頁面出現(xiàn)拒絕服務(wù)問題（DoS）。

當(dāng)我在注冊HackerOne用戶時，發(fā)現(xiàn)在用戶頭像處的圖片文件名處（filename:unnamed.jpg）未對默認圖片文件unnamed.jpg設(shè)置字符長度限制，所以我首先想到的是在其中構(gòu)造一個盡量盡量盡量長的文件名。以下為上傳用戶頭像的請求：

剛開始看來，這看似并不是一個嚴(yán)重問題，所以我想是否能添加文件名的字符長度引起HackerOne服務(wù)端拋出500的服務(wù)端錯誤，但幾經(jīng)測試，沒有效果。

接著，我發(fā)現(xiàn)，HackerOne的多個端點都會執(zhí)行g(shù)raphql方式的請求去查詢獲取注冊用戶的相關(guān)信息，并且，其響應(yīng)的JSON消息中還包含了用戶的頭像圖片URL地址，以及用戶上傳時命名的文件名。

所以，我馬上想到的就是在用戶圖像處創(chuàng)建一個巨在冗長的文件名，因此，我直接構(gòu)造了一個3.6M左右的隨機字符串Payload：

然后，在用戶圖像的上傳請求中，用該字符串替換掉圖片名稱 unnamed（filename:unnamed.jpg），然后執(zhí)行Request上傳請求。當(dāng)然，請求的成功執(zhí)行還是花了些許時間，這其中我用的測試用戶賬戶為@d3f4ul7_m4n。以下為加入Payload后的用戶圖像上傳請求和響應(yīng)截圖：

接下來，我用我HackerOne的主賬戶@red_assassin創(chuàng)建了一份漏洞報告，并邀請上述測試用戶@d3f4ul7_m4n共同加入該報告進行討論，然后，我發(fā)現(xiàn)這個邀請動作對HackerOne服務(wù)端/reports/<report-id>/participants/發(fā)起了請求，由于其請求響應(yīng)中會包含進對方賬號的頭像文件名，因此，響應(yīng)將會耗時相當(dāng)，甚至有時會導(dǎo)致超時或瀏覽器崩潰。

為了證明問題危害，我又注冊了另外一個經(jīng)過頭像名Payload構(gòu)造的用戶@fossnow27，然后在上述同一份漏洞報告中邀請其參與。現(xiàn)在，在發(fā)起了同時邀請@d3f4ul7_m4n和@fossnow27這兩個測試用戶后，最終，由于其中需要獲取冗長的用戶頭像名，最終服務(wù)端/reports/<report-id>/participants/的響應(yīng)直接崩潰了。

順應(yīng)地，我打開了一些顯示注冊用戶個人信息的HackerOne頁面，如用戶配置頁面、個人漏洞報告頁面、邀請報告頁面，我發(fā)現(xiàn)在打開這些頁面時同樣也遇到了上述的響應(yīng)較慢，甚至是直接掛掉或頁面崩潰的DoS問題。

漏洞復(fù)現(xiàn)

1、打開頁面https://hackerone.com/settings/profile/edit

2、上傳用戶頭像圖片，開啟抓包：

3、在請求中的頭像圖片名稱處filename:unnamed.jpg，用準(zhǔn)備好的長字符串Payload替換掉其中的unnamed，形成類似<payload>abcd.jpg的文件命名，執(zhí)行上傳。

漏洞危害

當(dāng)某些惡意用戶的上報漏洞發(fā)生重復(fù)（duplicate）爭議時，那么在發(fā)起上報人漏洞報告參與協(xié)調(diào)時，他可以利用該漏洞方法，阻止其他上報人有效參與。漏洞參與者形成訪問限制。

另外，在一些公司眾測項目中，列出了一些致謝白帽，其中的碳同樣涉及到用戶頭像名稱獲?。ㄈ缦拢?，因此，如果一些惡意白帽用上述漏洞方法，同樣可導(dǎo)致公司眾測項目出現(xiàn)DoS問題。

以上就是HackerOne用戶頭像名稱變化導(dǎo)致的DoS漏洞如何理解，小編相信有部分知識點可能是我們?nèi)粘９ぷ鲿姷交蛴玫降?。希望你能通過這篇文章學(xué)到更多知識。更多詳情敬請關(guān)注億速云行業(yè)資訊頻道。